Soco404 und Koske: Neue Bedrohungen für Cloud-Dienste durch Kryptomining-Malware

LONDON (IT BOLTWISE) – In der sich ständig weiterentwickelnden Welt der Cyberbedrohungen haben Sicherheitsforscher zwei neue Malware-Kampagnen identifiziert, die gezielt Schwachstellen in Cloud-Diensten ausnutzen, um Kryptowährungs-Miner zu installieren.

Die jüngsten Entdeckungen von Sicherheitsforschern haben die Aufmerksamkeit auf zwei neue Malware-Kampagnen gelenkt, die gezielt Schwachstellen in Cloud-Umgebungen ausnutzen. Diese Kampagnen, bekannt als Soco404 und Koske, zielen darauf ab, Kryptowährungs-Miner auf anfälligen Systemen zu installieren. Während Soco404 sowohl Linux- als auch Windows-Systeme angreift, konzentriert sich Koske auf Linux-Umgebungen und nutzt dabei innovative Techniken, um unentdeckt zu bleiben.

Soco404 nutzt eine Vielzahl von Methoden, um in Systeme einzudringen. Die Angreifer verwenden gefälschte 404-HTML-Seiten, die auf Google Sites gehostet werden, um ihre schädlichen Nutzlasten zu verbergen. Diese Seiten wurden inzwischen von Google entfernt, doch die Bedrohung bleibt bestehen, da die Angreifer weiterhin nach Schwachstellen in Apache Tomcat- und Atlassian Confluence-Servern suchen. Ein weiteres Ziel sind öffentlich zugängliche PostgreSQL-Instanzen, die durch das Ausnutzen von SQL-Befehlen kompromittiert werden.

Auf Linux-Systemen wird ein Dropper-Skript direkt im Speicher ausgeführt, um die nächste Nutzlast herunterzuladen und zu starten. Diese Nutzlast dient als Loader für den Miner und kontaktiert eine externe Domain, um die schädlichen Aktivitäten zu koordinieren. Auf Windows-Systemen wird ein ähnlicher Ansatz verfolgt, wobei die Malware versucht, das Windows-Ereignisprotokoll zu stoppen und sich selbst zu löschen, um die Entdeckung zu vermeiden.

Im Gegensatz dazu nutzt Koske eine andere Strategie, indem es scheinbar harmlose Bilder von Pandas verwendet, um die Malware zu verbreiten. Diese Bilder sind sogenannte Polyglot-Dateien, die schädlichen Code enthalten, der direkt im Speicher ausgeführt wird, um Antiviren-Tools zu umgehen. Das Endziel von Koske ist die Installation von CPU- und GPU-optimierten Kryptowährungs-Minern, die die Rechenressourcen des Hosts ausnutzen.

Die Entdeckung dieser Kampagnen unterstreicht die Notwendigkeit, Cloud-Dienste kontinuierlich zu überwachen und abzusichern. Unternehmen müssen sicherstellen, dass ihre Systeme regelmäßig aktualisiert werden und dass Sicherheitslücken schnell geschlossen werden. Die flexible und opportunistische Natur dieser Angriffe zeigt, dass Angreifer bereit sind, jede verfügbare Methode zu nutzen, um ihre Ziele zu erreichen.

In der Zukunft wird erwartet, dass solche Bedrohungen weiter zunehmen, da Cyberkriminelle immer raffiniertere Techniken entwickeln, um ihre Angriffe zu verschleiern. Unternehmen müssen daher proaktiv handeln und in robuste Sicherheitslösungen investieren, um ihre Cloud-Infrastrukturen zu schützen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!